American Water, la plus grande société américaine de distribution d’eau et d’eaux usées cotée en bourse, a été contrainte de fermer certains de ses systèmes après une cyberattaque jeudi.
Dans un dépôt auprès de la Securities and Exchange Commission (SEC) des États-Unis, American Water a déclaré qu’elle avait déjà embauché des experts tiers en cybersécurité pour aider à contenir et à évaluer l’impact de l’incident. Il a également signalé l’infraction aux forces de l’ordre et coordonne maintenant leurs efforts dans le cadre d’une enquête conjointe et en cours.
« La Société a pris et continuera de prendre des mesures pour protéger ses systèmes et ses données, y compris la déconnexion ou la désactivation de certains de ses systèmes », indique le dossier réglementaire 8-K.
Comme American Water l’a déclaré dans une déclaration distincte sur son site Web, l’attaque l’a également forcée à fermer son service de portail client en ligne, MyWater, et à suspendre les services de facturation.
Cependant, le porte-parole de l’entreprise, Ruben Rodriguez, a déclaré à Breachtrace qu’il « n’y aura pas de frais de retard pour les clients tant que ces systèmes ne seront pas disponibles. »
« Notre équipe dévouée de professionnels travaille sans relâche pour enquêter sur la nature et la portée de l’incident », a ajouté Rodriguez. « La Société estime actuellement qu’aucune de ses installations ou opérations d’approvisionnement en eau ou de traitement des eaux usées n’a été affectée négativement par cet incident. »
American Water compte plus de 6 500 employés et fournit des services d’approvisionnement en eau et de traitement des eaux usées à plus de 14 millions de personnes dans 14 États et sur 18 installations militaires.
Cet incident fait suite à un incident similaire qui a touché l’installation de traitement des eaux d’Arkansas City, au Kansas, qui a été contrainte de passer aux opérations manuelles après une cyberattaque du week-end.
Ces incidents font suite à un avis TLP:AMBER avertissant des cyberattaques liées à la Russie ciblant le secteur de l’eau, publié par le Water Information Sharing and Analysis Center (WaterISAC), une organisation à but non lucratif qui aide à protéger les services d’eau contre les cybermenaces.
Par exemple, des pirates informatiques soutenus par la Chine, Volt Typhoon, ont infiltré les réseaux de systèmes d’eau potable en février, tandis que des acteurs de la menace iraniens ont violé une installation d’eau de Pennsylvanie en novembre 2023.
L’Environmental Protection Agency (EPA) des États-Unis a également récemment publié des directives pour aider les propriétaires et les exploitants de systèmes d’approvisionnement en eau et de traitement des eaux usées (WWSs) à évaluer leurs pratiques en matière de cybersécurité et à identifier des mesures pour réduire leur exposition aux attaques.